Refactor Permissions

[brussee]

Huidig:

• Combinatie van bijna alle soorten access control: https://en.wikipedia.org/wiki/Access_control#Access_control_models
• RBAC: Gebruikers hebben 1 rol (R_ADMIN, etc.)
• ABAC: Gebruikers hebben 1..* attributen (geslacht, lichting, verticale, perm_role etc.)
• IBAC: Gebruikers hebben 1 id (lidnummer).
• DAC: Gebruikers zijn lid van 0..* groepen.
• RBAC: Gebruikers hebben 1 rol per groep (bestuur:fiscus, etc.)
• ABAC+DAC: Objecten hebben 0..* rechten-attributen (rechten_aanmelden, rechten_bekijken, etc.)
• ABAC+RBAC: Rechten-attributen hebben 0..* rollen (P_FORUM_MOD, commissie:PubCie, etc.)
• ABAC+MAC: Rechten-attributen zijn geaggregeerd in AccessRoles en zijn dus eigenlijk hetzelfde (P_FORUM_MOD + P_ADMIN = R_PUBCIE, etc.)
• MAC: Controllers hebben 1..* acties (ADD courant, SEND courant, etc.)
• MAC: Controller-acties hebben 1..* rechten-attributen ('POST forumbericht' => P_FORUM_POST, etc.)
• Controllers zouden alle acces controles moeten doen en niet het Model of de View, maar sommige modules wijken hiervan af (potentiële beveiligingsproblemen en verhoogde complexiteit).
• Rechten worden gecontroleerd op applicatie niveau.
• Rechten worden opgeslagen in sommige objecten en tevens hard-coded (AclController, Ketzers, etc.).
• Rechten worden ge-cached tijdens runtime met snelle, maar zwakke crc32 hash. http://stackoverflow.com/questions/14210298/probability-of-collision-when-using-a-32-bit-hash

  Ideaal:

• Behoud huidige functionaliteit.
• Rechten worden gecontroleerd op database niveau in 1 ACL tabel en niet meer hard-coded.
• Overzicht van wie waar rechten voor heeft.
• Inzichtelijke overerving van rechten in een boomstructuur.
• Database cache zorgt voor voldoende performance.

  Plan:

• [ ] Verplaats de rechten-attributen van objecten en controller-acties naar 1 ACL tabel (dat had ik al eens gedaan voor groepen 9a27ed3fb78de3ae7bcbe3f3b62a07488ced20f7).
• [ ] Sla de ascii encoded permission string op in 1 ACL kolom met maar 1 string per row (zie huidige acl tabel, pk moet nieuwe AI int worden).
• [ ] Maak een JOIN die de attributen, groepen en bit-wise AND in de SELECT query van PersistenceModel uitvoert. https://dev.mysql.com/doc/refman/5.5/en/bit-functions.html
• [ ] Verwijder de custom runtime cache.
• [x] Maak een centrale GUI voor rechten waar beheerders en object eigenaren gebruik van kunnen maken (zoals P_FORUM_MOD, maker van ketzer, etc.) http://csrdelft.nl/rechten/bekijken
• [ ] Maak een forward & backward permission resolver en toon een boomstructuur voor overerving van rechten (backward had ik al eens gedaan voor groepen: id, type en class).
• [ ] Maak een snelkoppeling op de plaatsen waar de rechten nu ingebakken zijn in de huidige GUI.

[brussee]

Je kunt er ook voor kiezen om de huidige rollen (R_MAALCIE, etc.) in rechten-groepen te veranderen, zo behoud je de MAC property. Of de huidige commissie-groepen te gebruiken en daarmee MAC in te DAC veranderen, tenzij je stricte controle houd over het beheer van de commissie-groepen. RBACm en ACLg zijn namelijk equivalent: https://en.wikipedia.org/wiki/Role-based_access_control#Comparing_with_ACL